Il Garante Privacy ha diffuso le nuove linee guida per chi utilizza i tracking pixel nelle comunicazioni digitali.
Per anni l’apertura delle email e il comportamento dei destinatari sono stati monitorati in modo quasi automatico, spesso senza che l’utente ne fosse realmente consapevole. Oggi, invece, il Garante chiarisce che questo tipo di tracciamento costituisce una forma di profilazione e richiede un consenso distinto, preventivo e inequivocabile.
L'impatto è enorme. Questa decisione del Garante colpisce al cuore le Aziende e i software di email marketing più usati al mondo che tracciano di default le aperture e i click individuali. Per i reparti Marketing e Sales è una vera rivoluzione copernicana. Infatti, il consenso che l’utente fornisce per ricevere una newsletter o una DEM non basta più: copre solo la finalità dell’invio. Tutto ciò che va oltre, come analizzare abitudini, preferenze, frequenza di lettura o clic, necessita di una base giuridica autonoma. È un’applicazione diretta del principio di limitazione delle finalità previsto dal GDPR, e rappresenta un cambio di paradigma per chi fa marketing.
Una filiera complessa: chi è coinvolto nel tracking pixel nelle email
Il tracking pixel nelle email non riguarda solo il mittente della comunicazione. Nella filiera entrano in gioco il provider che invia le email, i fornitori delle tecnologie di tracking, eventuali piattaforme che aggregano o analizzano i dati e persino soggetti che cedono o noleggiano liste. Per ciascuno di questi attori è necessario definire ruoli e responsabilità, arrivando, quando serve, ad accordi di contitolarità ai sensi del provvedimento emesso il 17 aprile 2026. Una governance chiara non è più un optional: è un requisito per evitare rischi e sanzioni.
Quando il consenso non serve
Le eccezioni esistono, ma sono limitate. Il consenso non è richiesto quando il tracking pixel nelle email non permette di identificare l’utente e non ha finalità di profilazione. È il caso, ad esempio, delle statistiche aggregate sulle aperture (come la semplice percentuale di apertura) oppure delle misure tecniche legate alla sicurezza dell’account, come verificare se un’email di sicurezza è stata letta. Sono esclusi invece tutti gli scenari in cui il tracciamento serve a personalizzare contenuti o valutare il comportamento individuale.
Il nodo tecnologico: anche quando “disattivi” il tracking pixel nelle email, potresti non essere compliant
Una delle parti più delicate delle nuove linee guida riguarda la tecnologia. Molte piattaforme non permettono di separare l’invio della comunicazione dalla raccolta dei dati di tracciamento. In alcuni casi, anche disattivando il tracking, terze parti continuano comunque a raccogliere informazioni. Il Garante è molto chiaro: la responsabilità non ricade sul software, ma sull’azienda. Se il sistema che utilizzi raccoglie dati puntuali e non hai modo di “spegnere” questa funzione, sei obbligato a chiedere un consenso aggiuntivo o a valutare un cambio di piattaforma.
Cosa devono fare ora le aziende
Le organizzazioni hanno sei mesi per adeguarsi a partire dal 17 aprile 2026. Questo significa rivedere informative, moduli di consenso, processi interni e configurazioni tecniche. Ecco un percorso operative “ideale”:
1. Analisi iniziale
- verificare come è configurato il sistema di invio email
- capire se il software traccia automaticamente
- valutare se è possibile disattivare il tracking
2. Aggiornare l’informativa
L’informativa deve includere:
- uso dei tracking pixel
- finalità di profilazione
- soggetti coinvolti
- tempi di conservazione
- base giuridica autonoma
3. Richiedere un consenso aggiuntivo
- consenso per ricevere newsletter/DEM
- consenso separato per la profilazione tramite tracking pixel
4. Creare due target list
- con consenso al tracking
- senza consenso al tracking
5. Verificare il provider
- permette di separare i consensi?
- permette di spegnere il tracking?
- continua a inviare dati a terzi?
Se la risposta è negativa, allora bisogna seriamente valutare un cambio software.
Cosa succede se non fai nulla
Il documento è esplicito: se il software non raccoglie dati puntuali, non devi fare nulla. Ma se li raccoglie e non puoi disattivare il tracking pixel nelle email, sei obbligato a chiedere il consenso aggiuntivo. Ignorare il problema espone a rischi concreti: richieste degli utenti ai sensi dell’art. 15, segnalazioni al Garante, ispezioni della Guardia di Finanza, interventi del DPO o audit interni.
Le sanzioni previste dal GDPR possono arrivare fino a 20 milioni di euro o al 4% del fatturato, a discrezione del Garante.
Esempi concreto: come questo provvedimento inciderà sulle attività commerciali e di marketing
Esempio A: L’Azienda XY invia una newsletter promozionale che tracciare l’ora esatta di apertura dell’email e i link cliccati dal destinatario, inserendo poi questi dati nel profilo del cliente per futuri sconti. L’Azienda non può farlo se prima non ha raccolto il consenso esplicito a questo specifico tracciamento.
Esempio B: Il reparto marketing dell’Azienda XY invia un’email commerciale e analizza i dati di click sui link per calcolare il tasso di conversione della campagna. L’azienda può farlo in modo aggregato (statistiche anonime e generali), ma non può associare il singolo click all’identità dello specifico cliente (es. “il sig. Rossi ha cliccato sul link alle 10:00”) se non ha prima ottenuto il suo consenso esplicito a questo tracciamento.
Un’opportunità per migliorare trasparenza e fiducia
Le nuove linee guida non sono solo un obbligo normativo: rappresentano un’occasione per rafforzare la trasparenza, migliorare la governance dei dati e costruire un rapporto più solido con gli utenti. Chi saprà adeguarsi in modo chiaro e proattivo avrà un vantaggio competitivo, perché la fiducia è ormai un elemento centrale in ogni strategia di comunicazione.
